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强 弱 实 时 任务 协同 工作 的 多 余 度 飞 控 软件 
时 序 设 计 方 法 
7 摘要 2 间 
本 发 明 公 开 了 一 种 强 弱 实时 任务 协同 工作 [和 P| 条 全 从 本 [二 | 可 | 这 | 可 


的 多 余 度 飞 控 软 件 时 序 设计 方法 ,包括 任务 实时 局 
划分 、 强 弱 实 时 任务 接口 设计 、 通 道 间 同 步 设计 、 

弱 实时 任务 超时 保护 设计 ;本 发 明 方法 解决 了 现 

有 硬件 资源 无 法 支持 飞 控 软件 功能 升级 的 问题 ， 

在 不 更 改 硬件 资源 的 前 提 下 ,实现 了 飞行 安全 关 

键 软件 的 能 力 提升 ;经 过 飞行 实践 证 明 , 本 发 明 

方法 经 济 可 行 ,可 以 方便 地 应 用 到 高 安全 性 的 多 

余 度 飞 控 软件 中 ,在 提升 飞 控 软件 能 力 的 同时 ， 

保证 了 飞 控 软 件 的 时 间 安 全 性 。 
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1 .一 种 强 弱 实时 任务 协同 工作 的 多 余 度 飞 控 软件 时 序 设计 方法 ,其 特征 在 于 ,包括 : 

对 于 飞行 控制 软件 新 增 的 功能 模块 X, 首 先 分 析 其 实时 特征 ,如 其 满足 实时 要 求 , 则 直 
接 将 其 划 归 为 实时 任务 ; 

判断 功能 模块 X 在 运行 过 程 中 的 所 有 中 间 计 算 结果 当中 ,是 否 存在 需要 在 一 个 大 帧 周 
期 之 内 计算 完成 且 不 可 被 其 他 任务 中 断 的 中 间 计 算 结 果 ; 如 存在 , 则 将 功能 模块 x 中 用 于 计 
算 该 中 间 计 算 结 果 的 部 分 划 归 为 强 实时 模块 , 记 为 模块 A, 功 能 模块 X 中 除了 模块 之 外 的 其 
余部 分 均 划 归 为 弱 实 时 模块 , 记 为 模块 B; 

将 上 一 步 划 分 出 的 模块 A 安排 在 原 飞 控 软 件 的 实时 任务 组 中 ,模块 B 安 排 在 后 台 任务 组 
中 ; 当 总 线 中 断 到 来 时 , 先 按 照 优 先 级 排序 运行 实时 任务 组 中 的 实时 任务 ;如 所 有 实时 任务 
运行 完成 后 ,还 未 达到 大 帧 周期 T, 则 在 剩余 的 时 间 内 运行 后 台 任务 组 中 的 非 实 时 任务 ; 若 
在 大 帧 周期 ?的 剩余 时 间 内 ,所 述 模 块 B 不 能 完成 运行 , 则 在 大 帧 周期 ?到 达 后 ,模块 B 的 运行 
被 中 断 ,保存 中 断 现场 到 堆栈 中 ,并 在 下 一 个 大 帧 周期 的 实时 任务 调度 完成 后 ,恢复 中 断 现 
场 ,继续 执行 模块 B 

设置 一 个 模块 A 和 模块 B 的 公共 内 存 , 用 于 存储 二 者 之 间 的 接口 变量 ;分 析 模 块 A 的 任务 
流 图 ,查找 模块 A 和 模块 B 的 交 联 关 系 ;如 模块 A 在 实现 其 自身 功能 过 程 中 需要 模块 B 的 最 终 
执行 结果 , 且 模 块 B 在 实现 其 自身 功能 的 过 程 中 需要 模块 A 的 中 间 计 算 结 果 , 则 将 所 述 中 间 
计算 结果 作为 接口 变量 存 入 公共 内 存 ; 

后 台 任 务 组 在 每 次 调度 过 程 中 ,将 检查 公共 内 存 中 是 否 存在 触发 模块 B 运 行 时 所 需要 
的 接口 变量 ,如 存在 , 则 模块 B 开 始 执行 ;在 执行 过 程 中 ,模块 B 将 从 公共 内 存 中 获取 实现 其 
自身 功能 所 需 的 接口 变量 ;模块 B 的 最 终 执 行 结果 也 作为 接口 变量 放 入 公共 内 存 中 ,该 接口 
变量 用 于 模块 A 实 现 其 自身 功能 。 

2. 根 据 权利 要 求 1 所 述 的 强 弱 实时 任务 协同 工作 的 多 余 度 飞 控 软件 时 序 设计 方法 ,其 
特征 在 于 ,判断 功能 模块 是 否 满足 实时 要 求 的 方法 为 : 

对 于 飞 控 软 件 新 增 功能 模块 X, 首先 将 其 安排 为 实时 任务 ,设置 该 功能 模块 的 调度 周期 
为 大 帧 周期 T, 其 中 大 帧 周期 是 指 飞 控 软件 原 有 的 所 有 功能 模块 中 的 最 长 的 调度 周期 ; 

加 入 新 的 功能 模块 X 后 ,在 实验 室 进行 仿真 飞行 ,判断 飞行 软件 运行 过 程 中 是 否 出 现 控 
制 流 故障 ;如 不 存在 , 则 设计 完成 ;否则 ,用 飞行 参数 记录 功能 模块 X 实 际 的 运行 时 间 tl ,如 
果 功 能 模块 X 的 实际 运行 时 间 t1 大 于 大 帧 周期 T, 则 进行 下 一 步 。 

3. 根 据 权利 要 求 1 所 述 的 强 弱 实 时 任务 协同 工作 的 多 余 度 飞 控 软件 时 序 设 计 方 法 ,其 
特征 在 于 ,所 述 实时 任务 组 中 为 按照 优先 级 排序 的 飞 控 软件 的 所 有 实时 任务 ,后 台 任 务 组 
中 为 所 有 非 实 时 任务 ;其 中 ,按照 模块 A 的 数据 流 确定 其 优先 级 顺序 ,从 而 确定 其 在 实时 任 
务 组 中 的 排序 。 

4. 根 据 权利 要 求 1 所 述 的 强 弱 实时 任务 协同 工作 的 多 余 度 飞 控 软件 时 序 设计 方法 ,其 
特征 在 于 ,在 公共 内 存 中 ,如 茶 接 口 变量 为 模块 4 的 中 间 计 算 结果 , 则 接口 变量 只 能 由 A 进行 
改写 ;而 模块 B 的 执行 结果 的 接口 变量 也 只 能 由 B 改 写 , 保 证 接口 变量 在 两 个 模块 中 的 读 写 
状态 是 互 斥 的 。 

5. 根 据 权利 要 求 1 所 述 的 强 弱 实 时 任务 协同 工作 的 多 余 度 飞 控 软件 时 序 设 计 方 法 ,其 
特征 在 于 ,对 于 多 余 度 飞 控 计算 机 ,在 每 个 计算 机 中 会 同步 运行 飞 控 软 件 , 模 块 A 和 模块 B 需 
要 保证 在 各 个 计算 机 中 同步 执行 ,以 保证 各 余 度 结果 的 一 致 性 ;通过 设计 不 同 计算 机 通道 
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之 间 的 同步 机 制 ,使 得 各 通道 中 的 模块 B 能 同步 执行 完成 。 

6. 根 据 权利 要 求 5 所 述 的 强 弱 实时 任务 协同 工作 的 多 余 度 飞 控 软件 时 序 设 计 方 法 ,其 
特征 在 于 ,所 述 不 同 计算 机 通道 之 间 的 同步 机 制 ,具体 为 : 

在 本 通道 的 模块 B 执 行 完 成 后 ,给 计算 完成 标志 赋值 1; 

通过 通道 间 的 交叉 传输 功能 ,将 本 通道 的 计算 完成 标志 传输 给 其 他 两 个 通道 ; 当 本 通 
道 得 到 其 它 两 个 通道 的 计算 完成 标志 后 ,各 通道 的 A 模块 进行 表决 值 的 计算 , 当 所 有 通道 的 
计算 完成 标志 均 为 1 时 , 则 给 最 终 表 决 值 赋值 为 1 ,表明 各 个 通道 中 B 模 块 均 已 执行 完成 ; 当 
各 个 通道 的 A 模块 收 到 下 一 个 总 线 时 钟 中 断 时 ,将 同步 从 各 通道 的 公共 内 存 中 获取 B 模 块 最 
终 执行 结果 对 应 的 接口 变量 。 

7. 根 据 权利 要 求 1 所 述 的 强 弱 实 时 任务 协同 工作 的 多 余 度 飞 控 软件 时 序 设 计 方 法 ,其 
特征 在 于 , 设 定 一 个 模块 B 的 最 坏 执行 时 间 Tmax, 并 设 定 一 个 时 间 变 量 Tb; 每 执行 一 次 大 帧 
周期 T, 如 模块 B 还 未 执行 完成 , 则 该 时 间 变 量 Tb 的 值 加 上 一 个 大 帧 周期 T; 如果 当前 Tb 超过 
了 设 定 的 最 坏 执行 时 间 Tmax, 则 认为 模块 B 运 行 超时 , 则 不 执行 模块 B 的 功能 。 

8 .一 种 计算 机 可 读 存 储 介质 ,所 述 介质 中 存储 有 计算 机 程序 ;其 特征 在 于 ,计算 机 程序 
被 处 理 器 执行 时 ,实现 根据 权利 要 求 1-7 中 任 一 所 述 强 弱 实 时 任务 协同 工作 的 多 余 度 飞 控 
软件 时 序 设计 方法 的 步骤 。 
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强 弱 实时 任务 协同 工作 的 多 余 度 飞 控 软件 时 序 设计 方法 
技术 领域 


[0001] ”本 发 明 涉及 飞行 器 数字 控制 技术 领域 ,具体 涉及 一 种 强 弱 实时 任务 协同 工作 的 多 
余 度 飞 控 软件 时 序 设计 方法 。 


背景 技术 

[0002] ”改行 控制 软件 是 飞行 安全 关键 软件 ,是 对 任务 执行 时 间 和 失效 影响 有 严格 要 求 的 
多 余 度 艇 入 式 实 时 软件 ,在 实时 方面 , 飞 控 软 件 要 求 有 确定 的 运行 时 序 ,其 软件 运行 机 制 是 
利用 周期 的 中 断 信 号 驱动 各 个 任务 组 的 周期 性 调度 ,实现 各 个 任务 组 按照 紧迫 程度 以 不 同 
的 周期 调度 执行 ,在 余 度 方面 ,为 了 提高 系统 的 容错 性 和 可 靠 性 ,飞行 控制 系统 通常 采用 多 
余 度 计算 机 ,一 个 余 度 也 称 为 一 个 通道 ,通道 之 间 相 互 监控 、 表 决 、 备 份 。 

[0003] ” 随 着 飞 控 软 件 的 能 力 提 升 要 求 ,新 增 的 功能 模块 耗 时 量 成 倍增 加 ,实时 任务 的 时 
间 安 全 裕 度 越 来 越 小 ,成 为 了 一 个 影响 软件 安全 的 潜在 问题 ,为 了 解决 这 一 问题 ,目前 通常 
采用 的 方法 从 硬件 的 角度 出 发 ,更 换 飞 控 计算 机 的 CPU, 采 用 性 能 更 好 的 CPU 进 行 飞 控 计算 ， 
但 是 更 换 硬件 的 成 本 高 、 周 期 长 ,需要 耗费 大 量 的 人 力 物力 。 


发 明 内 容 

[0004] ”本 发 明 的 目的 是 提供 一 种 强 弱 实时 任务 协同 工作 的 多 余 度 飞 控 软件 时 序 设计 方 
法 ,重新 进行 设计 飞 控 软件 的 时 序 , 对 实时 任务 进行 进一步 细 化 ,在 满足 软件 实时 要 求 的 同 
时 ,实现 飞 控 软 件 的 能 力 提升 。 
[0005] “为 了 实现 上 述 任务 ,本 发 明 采 用 以 下 技术 方案 : 

[0006] 一 种 强 弱 实 时 任务 协同 工作 的 多 余 度 飞 控 软件 时 序 设计 方法 ,包括 : 

[0007] ”对 于 飞行 控制 软件 新 增 的 功能 模块 X, 首 先 分 析 其 实时 特征 ,如 其 满足 实时 要 求 ， 
则 直接 将 其 划 归 为 实时 任务 ; 

[0008] “判断 功能 模块 X 在 运行 过 程 中 的 所 有 中 间 计 算 结果 当中 ,是否 存在 需要 在 一 个 大 
帧 周期 之 内 计算 完成 且 不 可 被 其 他 任务 中 断 的 中 间 计 算 结果 ;如 存在 , 则 将 功能 模块 X 中 用 
于 计算 该 中 间 计 算 结果 的 部 分 划 归 为 强 实 时 模块 , 记 为 模块 A, 功 能 模块 X 中 除了 模块 A 之 外 
的 其 余部 分 均 划 归 为 弱 实 时 模块 , 记 为 模块 B; 

[0009] ”将 上 一 步 划 分 出 的 模块 A 安排 在 原 飞 控 软件 的 实时 任务 组 中 ,模块 B 安 排 在 后 侣 任 
务 组 中 ; 当 总 线 中 断 到 来 时 , 先 按照 优先 级 排序 运行 实时 任务 组 中 的 实时 任务 ;如 所 有 实时 
任务 运行 完成 后 ,还 未 达到 大 帧 周期 T, 则 在 剩余 的 时 间 内 运行 后 台 任务 组 中 的 非 实 时 任 
务 ; 若 在 大 帧 周期 ?的 剩余 时 间 内 ,所 述 模 块 B 不 能 完成 运行 , 则 在 大 帧 周期 ?到 达 后 ,模块 B 
的 运行 被 中 断 ,保存 中 断 现场 到 堆栈 中 ,并 在 下 一 个 大 帧 周期 的 实时 任务 调度 完成 后 ,恢复 
中 断 现场 ,继续 执行 模块 B; 

[0010] ”设置 一 个 模块 A 和 模块 B 的 公共 内 存 , 用 于 存储 二 者 之 间 的 接口 变量 ;分析 模块 A 的 
任务 流 图 ,查找 模块 A 和 模块 B 的 交 联 关系 ;如 模块 A 在 实现 其 自身 功能 过 程 中 需要 模块 B 的 
最 终 执 行 结果 , 且 模 块 B 在 实现 其 自身 功能 的 过 程 中 需要 模块 A 的 中 间 计 算 结果 , 则 将 所 述 
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中 间 计 算 结 果 作 为 接口 变量 存 入 公共 内 存 ; 

[0011] ”后 台 任 务 组 在 每 次 调度 过 程 中 ,将 检查 公共 内 存 中 是 否 存 在 触发 模块 B 运 行 时 所 
需要 的 接口 变量 ,如 存在 , 则 模块 B 开 始 执 行 ;在 执行 过 程 中 ,模块 B 将 从 公共 内 存 中 获取 实 
现 其 自身 功能 所 需 的 接口 变量 ;模块 B 的 最 终 执行 结果 也 作为 接口 变量 放 入 公共 内 存 中 ,该 
接口 变量 用 于 模块 A 实现 其 自身 功能 。 

[0012] ”进一步 地 ,判断 功能 模块 是 否 满足 实时 要 求 的 方法 为 : 

[0013] ”对 于 飞 控 软件 新 增 功能 模块 X, 首先 将 其 安排 为 实时 任务 ,设置 该 功能 模块 的 调度 
周期 为 大 帧 周期 7, 其 中 大 帧 周期 是 指 飞 控 软 件 原 有 的 所 有 功能 模块 中 的 最 长 的 调度 周期 ; 
[0014] ”加 入 新 的 功能 模块 X 后 ,在 实验 室 进 行 仿 真 飞行 ,判断 飞行 软件 运行 过 程 中 是 否 
现 控制 流 故 障 ; 如 不 存在 , 则 设计 完成 ;否则 ,用 飞行 参数 记录 功能 模块 X 实 际 的 运行 时 间 
tl ,如 果 功 能 模块 X 的 实际 运行 时 间 t1 大 于 大 帧 周期 T, 则 进行 下 一 步 。 

[0015] ”进一步 地 ,所 述 实 时 任务 组 中 为 按照 优先 级 排序 的 飞 控 软 件 的 所 有 实时 任务 ,后 
台 任 务 组 中 为 所 有 非 实 时 任务 ;其 中 ,按照 模块 A 的 数据 流 确定 其 优先 级 顺序 ,从 而 确定 其 
在 实时 任务 组 中 的 排序 。 
[0016] ”进一步 地 ,在 公共 内 存 中 ,如 某 接口 变量 为 模块 A 的 中 间 计 算 结 果 , 则 接口 变量 只 
能 由 A 进行 改写 ;而 模块 B 的 执行 结果 的 接口 变量 也 只 能 由 B 改 写 ,保证 接口 变量 在 两 个 模块 
中 的 读 写 状态 是 互 斥 的 。 

[0017] ”进一步 地 ,对 于 多 余 度 飞 控 计 算 机 ,在 每 个 计算 机 中 会 同步 运行 飞 控 软 件 , 模 块 A 
和 模块 B 需 要 保证 在 各 个 计算 机 中 同步 执行 ,以 保证 各 余 度 结果 的 一 致 性 ;通过 设计 不 同 计 
算 机 通道 之 间 的 同步 机 制 ,使 得 各 通道 中 的 模块 B 能 同步 执行 完成 。 

[0018] ”进一步 地 ,所 述 不 同 计算 机 通道 之 间 的 同步 机 制 ,具体 为 : 

[0019] ”在 本 通道 的 模块 B 执 行 完 成 后 ,给 计算 完成 标志 赋值 1 ; 

[0020] ”通过 通道 间 的 交叉 传输 功能 ,将 本 通道 的 计算 完成 标志 传输 给 其 他 两 个 通道 ; 当 
本 通道 得 到 其 它 两 个 通道 的 计算 完成 标志 后 ,各 通道 的 A 模块 进行 表决 值 的 计算 , 当 所 有 通 
道 的 计算 完成 标志 均 为 1 时 , 则 给 最 终 表决 值 赋值 为 1 ,表明 各 个 通道 中 B 模 块 均 已 执行 完 
成 ; 当 各 个 通道 的 A 模 块 收 到 下 一 个 总 线 时 钟 中 断 时 ,将 同步 从 各 通道 的 公共 内 存 中 获取 B 
模块 最 终 执行 结果 对 应 的 接口 变量 。 

[0021] “进一步 地 , 设 定 一 个 模块 B 的 最 坏 执行 时 间 Tmax ,并 设 定 一 个 时 间 变 量 Tb ;每 执行 
一 次 大 帧 周期 7, 如 模块 B 还 未 执行 完成 , 则 该 时 间 变 量 Tb 的 值 加 上 一 个 大 帧 周期 T; 如 果 当 
前 Tb 超过 了 设 定 的 最 坏 执行 时 间 Tmax, 则 认为 模块 B 运 行 超时 , 则 不 执行 模块 B 的 功能 。 
[0022] ”一 种 计算 机 可 读 存 储 介 质 , 所 述 介 质 中 存储 有 计算 机 程序 ; 计算 机 程序 被 处 理 器 
执行 时 ,实现 所 述 强 弱 实 时 任务 协同 工作 的 多 余 度 飞 控 软 件 时 序 设计 方法 的 步骤 。 

[0023] ”与 现 有 技术 相 比 ,本 发 明 具 有 以 下 技术 特点 : 

[0024] ”本 发 明 方 法 解决 了 现 有 硬件 资源 无 法 支持 飞 控 软 件 功能 升级 的 问题 ,在 不 更 改 硬 
件 资 源 的 前 提 下 ,实现 了 飞行 安全 关键 软件 的 能 力 提 升 ; 现 有 公开 资料 没有 关于 本 方法 的 
任何 描述 和 实现 ,经 过 飞行 实践 证 明 ,本 发明 方法 经 济 可 行 ,可 以 方便 地 应 用 到 高 安全 性 的 
多 余 度 飞 控 软 件 中 ,在 提升 飞 控 软件 能 力 的 同时 ,保证 了 飞 控 软 件 的 时 间 安 全 性 。 
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附 图 说 明 

[0025] ”图 1 为 飞 控 软 件 任务 调度 时 序 示意 图 

[0026] ”图 2 为 功能 模块 和 调度 周期 的 关系 示意 图 ; 

[0027] ”图 3 为 功能 模块 x 原始 时 序 调度 示意 图 ; 

[0028] ”图 4 为 拆 分 后 的 功能 模块 A、B 时 序 调度 示意 图 ; 

[0029] ”图 5 为 强 弱 实时 模块 A、B 的 时 序 配 合 关系 设计 示意 图 ; 
[0030] ”图 6 为 强 弱 实时 模块 接口 设计 示意 图 ; 

[0031] ”图 7 为 通道 同步 机 制 设计 示意 图 ; 

[0032] ”图 8 为 发 明 实 施 例 中 强 弱 实 时 任务 时 序 配 合 关 系 设计 示意 图 ; 
[0033] ”图 9 为 发 明 实 施 例 中 强 弱 实时 模块 接口 设计 示意 图 ; 
[0034] ”图 10 为 发 明 实施 例 中 通道 同步 机 制 示意 图 。 

具体 实施 方式 


[0035] ” 飞 控 软件 的 运行 由 总 线 的 时 钟 中 断 来 驱动 ,每 次 总 线 时 钟 中 断 来 时 , 飞 控 软件 即 
按 预 先 设 定 的 调度 表 来 调度 实时 任务 运行 ,两 次 总 线 时 钟 中 断 之 间 的 时 间 内 称 为 一 个 时 间 
周期 At ,一 般 为 毫秒 级 别 。 飞 控 软 件 中 的 实时 任务 和 非 实 时 任务 定义 为 :实时 任务 是 指 该 
任务 需要 在 设 定 的 周期 内 完成 运行 ,并 且 在 该 周期 内 不 能 被 其 它 任务 打 断 ,或 只 能 被 打 断 
少数 几 次 ,否则 软件 会 出 现时 序 错误 , 报 出 “控制 流 故障 ”, 严 重 影响 飞行 安全 。 非 实时 任务 
的 计算 结果 不 影响 飞行 安全 ,在 所 有 实时 任务 运行 完成 之 后 的 剩余 时 间 片 中 运行 ,在 其 运 
行 过 程 中 可 以 被 随时 打 断 , 且 被 打 断 的 次 数 不 限 ,实时 任务 和 非 实 时 任务 在 飞 控 软件 中 的 
运行 规则 如 图 1 所 示 , 该 示例 中 的 飞 控 软件 共有 3 个 实时 任务 ,实时 任务 1 的 优先 级 最 高 , 必 
须 在 信 t 时 间 内 完成 计算 ,其 调度 周期 为 人 t; 以 此 类 推 ,实时 任务 2 的 调度 周期 为 2 人 t, 实 时 
任务 3 的 调度 周期 为 4At, 其 中 最 长 的 实时 任务 调度 周期 为 4At, 也 成 为 大 帧 周期 T。 非 实时 
任务 则 在 一 个 大 帧 运行 完 所 有 实时 任务 之 后 的 剩余 时 间 片 t (r) 中 运行 。 
L0036] 飞行 控制 软件 中 的 功能 模块 大 致 包括 信号 输入 输出 、 信 号 表决 监控 、 飞 行 导 航 计 
算 、 飞 机 舵 面 控制 \ 故 障 记录 、 地 面 维护 等 ,按照 模块 的 实时 要 求 和 对 飞行 安全 影响 的 关键 
程度 来 看 ,这 些 功能 模块 可 以 分 为 实时 任务 和 非 实 时 任务 ,其 中 信号 输入 输出 、 信 号 表决 监 
控 、 飞 行 导航 计算 、 飞 机 舵 面 控制 等 功能 模块 对 飞行 安全 的 影响 较 大 ,任务 优先 级 高 ,通常 
安排 为 实时 任务 ;故障 记录 、 地 面 维护 等 功能 模块 对 飞行 安全 的 影响 较 小 ,优先 级 靠 后 , 通 
常安 排 为 非 实 时 任务 。 各 功能 模块 的 调度 周期 如 图 2 所 示 。 

L0037] ”本 发 明 公 开 了 一 种 强 弱 实时 任务 协同 工作 的 多 余 度 飞 控 软件 时 序 设计 方法 ,本 方 
法 的 设计 目的 是 ,针对 于 当前 飞 控 软件 新 加 入 的 功能 模块 ,如 何 设计 当 新 功能 模块 加 入 后 
所 有 功能 模块 的 时 序 。 该 方法 提升 了 飞 控 软件 处 理 复杂 任务 的 能 力 ,增强 了 飞 控 软件 的 安 
全 性 ,从 软件 的 角度 解决 了 现 有 硬件 资源 无 法 支持 飞 控 软 件 功 能 升级 的 问题 。 

L0038] 参见 附 图 ,本 方法 的 步骤 如 下 : 

[0039] ”步骤 1, 对 于 飞行 控制 软件 新 增 的 功能 模块 X, 首先 分 析 其 实时 特征 ,如 其 满足 实时 
要 求 , 则 直接 将 其 划 归 为 实时 任务 ;否则 进行 下 一 步 。 

[0040] “判断 功能 模块 是 否 满足 实时 要 求 的 方法 为 : 

[0041] ”假设 飞 控 软 件 新 增 功 能 模块 X, 首先 将 其 安排 为 实时 任务 ,设置 该 功能 模块 的 调度 
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周期 为 飞 控 软件 原 有 功能 模块 的 大 帧 周期 T, 如 图 3 所 示 :; 其 中 大 帧 周期 是 指 飞 控 软 件 原 有 
的 所 有 功能 模块 中 的 最 长 的 调度 周期 。 

[0042] ”加 入 新 的 功能 模块 X 后 ,在 实验 室 进行 仿真 飞行 ,判断 飞行 软件 运行 过 程 中 是 否 
现 控制 流 故 障 ; 如 不 存在 , 则 设计 完成 ;否则 ,说 明 功 能 模块 X 的 运行 时 间 超 过 了 软件 实时 任 
务 的 大 帧 周期 T; 用 飞行 参数 记录 功能 模块 X 实 际 的 运行 时 间 tl1, 如 果 功 能 模块 X 的 实际 运行 
时 间 t1 大 于 大 帧 周期 7, 表 明 在 下 一 次 调度 该 模块 时 (2T 时 刻 ) 该 模块 还 处 于 未 完成 状态 ,从 
而 引起 “控制 流 故 障 ”, 则 进行 下 一 步 。 

[0043] “步骤 2 ,判断 功能 模块 X 在 运行 过 程 中 的 所 有 中 间 计 算 结 果 当 中 ,是 否 存在 需要 在 
一 个 大 帧 周期 之 内 计算 完成 且 不 可 被 其 他 任务 中 断 的 中 间 计 算 结果 ;如 存在 , 则 将 功能 模 
块 X 中 用 于 计算 该 中 间 计 算 结 果 的 部 分 划 归 为 强 实 时 模块 , 记 为 模块 A, 功能 模块 X 中 除了 模 
块 A 之 外 的 其 余部 分 均 划 归 为 弱 实 时 模块 , 记 为 模块 B。 

[0044] ”如 图 2 给 出 的 示例 中 ,新 加 的 功能 模块 X 其 中 有 一 部 分 的 计算 结果 需要 实时 传输 给 
飞行 导航 模块 使 用 ,该 部 分 需要 在 一 个 大 帧 周期 之 内 计算 完成 且 不 可 被 其 他 任务 中 断 ， 
此 将 其 划分 为 强 实时 模块 (模块 A) ; 男 一 部 分 仅 进行 算术 运算 , 且 可 以 被 其 他 任务 任意 中 
断 , 只 需要 在 规定 的 时 间 (一 个 大 于 大 帧 周期 ?的 时 间 , 如 57T) 内 给 出 计算 结果 即 可 。 但 是 ,该 
部 分 的 特点 又 与 非 实时 任务 不 同 , 其 计算 结果 对 飞行 安全 有 一 定 影响 , 且 计 算 完成 时 间 不 
能 无 限制 地 延长 ,因此 该 部 分 的 实时 要 求 和 安全 性 要 求 介 于 强 实时 任务 和 非 实时 任务 之 
间 , 这 里 将 其 定义 为 弱 实 时 模块 (模块 B) 。 

[0045] ”步骤 3 ,将 上 一 步 划分 出 的 强 实时 模块 (模块 A) 安排 在 原 飞 控 软件 的 实时 任务 组 
中 , 弱 实 时 模块 (模块 B) 安排 在 后 台 任务 组 中 ;所 述 实时 任务 组 中 为 按照 优先 级 排序 的 飞 控 
软件 的 所 有 实时 任务 ,后 台 任 务 组 中 为 所 有 非 实时 任务 ; 

[0046] 其 中 ,按照 模块 A 的 数据 流 确 定 其 优先 级 顺序 ,从 而 确定 其 在 实时 任务 组 中 的 排 
序 ; 当 总 线 中 断 到 来 时 , 先 按 照 优 先 级 排序 运行 实时 任务 组 中 的 实时 任务 ;如 所 有 实时 任务 
运行 完成 后 ,还 未 达到 大 帧 周期 7, 则 在 剩余 的 时 间 内 运行 后 台 任务 组 中 的 非 实时 任务 ， 
[0047] 若 在 大 帧 周期 的 剩余 时 间 内 ,所 述 模 块 B 不 能 完成 运行 , 则 在 大 帧 周期 ?到 达 后 ， 
模块 B 的 运行 被 中 断 ,保存 中 断 现场 到 堆栈 中 ,并 在 下 一 个 大 帧 周期 的 实时 任务 调度 完成 
后 ,恢复 中 断 现 场 ,继续 执行 模块 B; 按照 同样 方法 经 过 若干 大 帧 周期 ,直至 模块 B 被 完全 执 
行 。 

[0048] ”本 发 明 的 一 个 示例 中 ,整个 飞 控 软件 的 时 序 设计 如 图 4 所 示 ; 当 和 At 时 刻 总 线 中 断 
来 时 ,按照 任务 优先 级 排序 运行 实时 任务 组 中 的 实时 任务 ;该 示例 中 , 先 运行 优先 级 最 高 的 
数据 输入 输出 模块 ,接着 运 行 模块 A, 模 块 A 计算 的 结果 将 传 给 飞行 导航 模块 使 用 ,并 接着 运 
行 飞行 导航 模块 ; 当 3 人 入 t 时 刻 总 线 中 断 来 时 ,首先 运行 数据 输入 输出 模块 ,此 时 一 个 大 帧 周 
期 内 所 有 的 实时 任务 都 运行 完成 了 ,软件 返回 到 后 台 任务 ,开始 执行 后 人 台 非 实时 任务 ,此 时 
划分 的 弱 实时 任务 模块 B 开 始 运行 ,由 于 其 耗 时 较 长 ,在 一 个 剩余 时 间 片 t () 中 无 法 完成 计 
算 , 在 4 人 t 时 刻 (T 时 刻 ) 的 总 线 中 断 来 时 ,模块 B 的 运行 被 打 断 ,此 时 软件 会 自动 保存 中 断 现 
场 到 堆栈 中 ,并 开始 下 一 个 大 帧 周期 的 实时 任务 调度 ;当下 一 个 大 帧 周期 所 有 实时 任务 计 
算 完成 后 ,软件 再 一 次 返回 后 台 任务 ,自动 将 上 一 次 被 中 断 的 现场 恢复 ,模块 B 从 上 一 次 被 
中 断 处 继续 运行 ,经 过 若干 个 大 帧 周期 ,模块 B 才 完成 计算 。 

L0049] ”步骤 4, 设 计 强 实 时 模块 和 弱 实 时 模块 的 配合 关系 及 接口 关系 。 
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[0050] ”设置 一 个 模块 A 和 模块 B 的 公共 内 存 , 用 于 存储 二 者 之 间 的 接口 变量 ;分 析 模 块 A 的 
任务 流 图 ,查找 模块 A 和 模块 B 的 交 联 关系 ;如 模块 A 在 实现 其 自身 功能 过 程 中 需要 模块 B 的 
最 终 执行 结果 , 旦 模块 B 在 实现 其 自身 功能 的 过 程 中 需要 模块 4 的 中 间 计 算 结果 , 则 : 

[0051] ”模块 A 的 某 中 间 计 算 结 果 是 触发 模块 B 开 始 运 行 或 模块 B 实 现 其 功能 所 需 的 数据 ， 
将 其 作为 接口 变量 存 入 公共 内 存 ; 

[0052] ”后 台 任 务 组 在 每 次 调度 过 程 中 ,将 检查 公共 内 存 中 是 否 存 在 触发 模块 B 运 行 时 所 
需要 的 接口 变量 ,如 该 接口 变量 存在 , 则 模块 B 开 始 执 行 ; 在 执行 过 程 中 ,模块 B 将 从 公共 内 
存 中 获取 实现 其 自身 功能 所 需 的 接口 变量 ;模块 B 的 最 终 执行 结果 也 作为 接口 变量 放 入 公 
共 内 存 中 ,该 接口 变量 用 于 模块 A 实现 其 自身 功能 。 

[0053] ”进一步 地 ,在 公共 内 存 中 ,如 某 接口 变量 为 模块 A 的 中 间 计 算 结 果 , 则 接口 变量 只 
能 由 A 进行 改写 ;而 模块 B 的 执行 结果 的 接口 变量 也 只 能 由 B 改 写 ,保证 接口 变量 在 两 个 模块 
中 的 读 写 状态 是 互 斥 的 ,避免 接口 变量 被 两 个 模块 交叉 改写 引起 软件 状态 的 混乱 。 

[0054] ” 附 图 给 出 的 示例 中 ,由 于 将 一 个 功能 模块 x 拆 分 在 了 实时 任务 组 和 后 台 任 务 组 中 ， 
需要 设计 模块 A 和 模块 B 的 配合 关系 来 实现 完整 的 功能 ;为 了 描述 二 者 的 配合 关系 , 先 忽略 
其 他 任务 ,只 关注 模块 A 和 模块 B 的 运行 情况 。 如 图 5 所 示 , 在 一 个 大 帧 周期 内 ,首先 执行 模块 
A, 模块 A 需 要 准备 一 些 数据 作为 模块 B 的 输入 ,计算 出 一 个 启动 标志 FLAGA ,作为 接口 变量 存 
入 内 存 。 当 进入 后 台 任 务 运行 模块 B 时 , 若 模 块 B 读 取 到 标志 FLAGA 为 “ 真 ”, 就 触发 其 内 部 的 
复杂 数学 运算 ,计算 模块 A 所 需要 的 导航 数据 ;在 若干 个 大 帧 周期 内 ,如 果 模 块 B 完 成 计算 ， 
就 将 计算 结果 DATA0UT 存 入 内 存 , 并 生成 一 个 标志 FLAGB, 若 模块 A 读 取 到 该 标志 为 “ 真 ”, 就 
读 取 DATAOUT 并 将 其 实时 刷新 给 导航 模块 使 用 。 

[0055] ”模块 A 和 模块 B 之 间 要 进行 数据 交互 ,这 些 数 据 即 为 两 个 模块 之 间 的 接口 变量 ,本 
示例 中 两 个 模块 之 间 的 数据 流 如 图 6 所 示 。 在 设计 软件 时 ,需要 注意 DATAIN 和 FLAGA 只 能 在 
模块 A 中 进行 改写 ,模块 B 只 能 读 取 其 内 容 而 不 能 改写 其 值 ;反之 ,DATAOUT 和 FLAGB 只 能 在 模 
块 B 中 进行 改写 ,模块 A 只 能 读 取 其 内 容 而 不 能 改写 其 值 。 

[0056] ”步骤 5 ,对 于 多 余 度 飞 控 计算 机 ,在 每 个 计算 机 中 会 同步 运行 飞 控 软 件 , 即 模块 A 和 
模块 B 需 要 保证 在 各 个 计算 机 中 同步 执行 ,以 保证 各 余 度 结果 的 一 致 性 ;模块 A 的 同步 可 通 
过 总 线 时 钟 中 断 同步 触发 ,而 模块 B 由 于 受到 硬件 设备 、 软 件 状 态 不 同 的 影响 在 多 个 计算 机 
通道 的 后 台 任务 组 中 调度 状态 可 能 不 完全 一 致 ,因此 通过 设计 不 同 计算 机 通道 之 间 的 同步 
机 制 ,使 得 各 通道 中 的 模块 B 能 同步 执行 完成 : 

[0057] ”具体 采用 的 方法 是 进行 通道 间 的 握手 表决 ,如 图 7 所 示 , 在 本 通道 的 模块 B 执 行 完 
成 后 ,给 计算 完成 标志 FLAGB_CHX 赋 值 1; 

[0058] ”通过 通道 间 的 交叉 传输 功能 CCDL ,将 本 通道 的 计算 完成 标志 传输 给 其 他 两 个 通 
道 ,这样 一 个 通道 就 得 到 三 个 通道 的 状态 ; 当 本 通道 得 到 其 它 两 个 通道 的 计算 完成 标志 后 ， 
各 通道 的 A 模块 进行 表决 值 的 计算 , 当 所 有 通道 的 计算 完成 标志 均 为 1 时 , 则 给 最 终 表决 值 
赋值 为 1 ,表明 各 个 通道 中 B 模 块 均 已 执行 完成 ; 当 各 个 通道 的 A 模 块 收 到 下 一 个 总 线 时 钟 中 
断 时 ,将 同步 从 各 通道 的 公共 内 存 中 获取 B 模 块 最 终 执行 结果 对 应 的 接口 变量 。 
[L0059] ”在 背景 介绍 中 明确 了 为 了 提高 系统 的 容错 性 和 可 靠 性 , 飞 控 计算 机 通常 采用 多 余 
度 设计 ,一 个 余 度 也 称 为 一 个 通道 ,通道 之 间 相 互 监控 、 表 决 、 备 份 ,这 里 以 三 余 度 飞 控 计算 
机 为 例 ,三 通道 的 CPU 板 都 挂 在 同一 个 系统 总 线 上 ,接收 的 总 线 中 断 一 样 ,因此 ,三 通道 实时 
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任务 的 调度 时 间 是 一 致 且 确定 的 。 但 受 三 通道 的 CPU 执行 速度 .外 接 设备 、 输 入 数据 等 不 完 
全 一 致 的 影响 ,三 通道 对 后 台 任 务 调 度 状 态 是 不 完全 一 致 的 .这 一 点 对 传统 的 非 实 时 任务 
没有 影响 ,但 是 对 于 存在 弱 实 时 的 模块 B 来 说 是 不 可 接受 的 。 

[0060] “如 果菜 个 通道 的 模块 B 计 算 完成 而 另外 的 通道 还 没有 完成 ,就 会 导致 三 通道 实时 
模块 A 的 执行 时 机 不 一 致 ,进而 导致 整个 软件 时 序 混 乱 ,引发 严重 的 软件 问题 .因此 ,需要 针 
对 模块 B 设 计 通 道 间 的 同步 机 制 , 保 证 所 有 通道 的 模块 B 执 行 完成 之 后 再 触发 模块 A 的 运行 。 
[0061] ”本 示例 中 ,以 通道 x 为 例 , 通 道 x 根据 本 通道 和 其 他 两 个 通道 的 标志 FLAGB_CHX、 
FLAGB_CHY 和 FLAGB_CHZ 计 算出 最 终 表决 值 FLAGB_VOTE, 其 表决 逻辑 为 :判断 是 否 所 有 通道 
的 标志 都 为 “ 真 ”, 如 果 是 , 则 表决 值 FLAGB_V0TE 为 “ 真 ”, 否则 如 有 一 个 通道 的 标志 不 为 
“ 真 ”, 置 表决 值 FLAGB_VOTE 为 “ 假 ” ,这 样 如 果 表 决 值 FLAGB_V0OTE 为 “ 真 ”, 则 表明 所 有 通道 的 
模块 B 都 计算 完成 ,这 样 就 保证 了 三 通道 的 实时 模块 A 的 触发 时 机 一 致 ,保证 了 通道 间 软 件 
时 序 状态 的 同步 。 

[0062] ”步骤 6 ,设计 弱 实 时 任务 超时 保护 机 制 。 

[0063] ”根据 模块 B 的 特点 , 设 定 一 个 模块 B 的 最 坏 执 行 时 间 Tmax ,并 设 定 一 个 时 间 变 量 Tb; 
每 执行 一 次 大 帧 周期 ,如 模块 B 还 未 执行 完成 , 则 该 时 间 变 量 Tb 的 值 加 上 一 个 大 帧 周期 T, 如 
果 当 前 Tb 超过 了 设 定 的 最 坏 执行 时 间 Tmax, 则 认为 模块 B 运 行 超时 , 则 不 执行 模块 B 的 功能 ， 
避免 故障 蔓延 影响 飞行 安全 。 

[0064] ” 弱 实 时 任务 的 实时 要 求 和 安全 性 要 求 介 于 强 实时 任务 和 非 实时 任务 之 间 ; 非 实时 
任务 没有 时 效 要 求 ,对 非 实 时 任务 的 进入 、 退 出 和 运行 时 间 没 有 限制 ;而 弱 实 时 任务 有 一 定 
的 时 效 要 求 , 模 块 B 的 计算 结果 需要 在 若干 个 有 限 的 大 帧 周期 内 计算 完成 ,否则 将 影响 后 续 
的 导航 功能 ,因此 需要 设计 弱 实 时 任务 的 超时 保护 机 制 。 
[0065] ”对 上 述 设计 开发 进行 仿真 验证 。 
[0066] ”按照 上 述 的 设计 重新 开发 飞 控 软 件 , 并 在 实验 室 进行 仿真 飞行 ,发 现 软件 运行 过 
程 中 不 再 报 “ 控 制 流 故障 ”, 通 过 试验 设备 查看 飞行 参数 ,得 到 功能 模块 A 的 运行 时 间 t (a) 和 
功能 模块 B 的 运行 时 间 t (b) 。 分 析 得 到 t (a)《 大 帧 周期 1,t (b) 守 5T, 可知 功能 模块 4 符合 实时 
任务 调度 周期 的 要 求 , 功 能 模块 B 符 合 弱 实时 任务 的 要 求 ,验证 了 前 述 分 析 设 计 是 正确 可 行 
的 。 

[0067] ”实施 例 : 

[0068] 某 无 人 机 飞 控 软件 需要 新 增 带 “ 电 子 围栏 ”的 动态 航路 规划 功能 ,其 中 “电子 围栏 ” 
是 将 地 图 上 的 一 系列 坐标 点 按 顺 时 针 或 逆 时 针 方 向 依次 连 起 来 形成 的 封闭 且 不 自 相 交 的 
图 形 ; 带 “电子 围栏 ”的 航路 规划 ,是 指 无 人 机 在 按照 预定 航路 飞行 的 时 候 , 录 到 “电子 围 
栏 ”, 需 要 重新 计算 航路 以 避免 飞机 飞 入 或 飞 出 “电子 围栏 ”的 功能 ,以 下 简称 电子 围栏 功 
能 ,电子 围栏 功能 计算 完成 的 时 间 远 远大 于 实时 任务 的 调度 周期 ,如 果 安 排 在 实时 任务 中 
完成 ,将 导致 “飞行 导航 ”实时 任务 不 能 在 规定 的 周期 内 计算 完成 ,造成 软件 时 序 错误 , 因 
此 ,应 用 本 方法 重新 设计 电子 围栏 功能 的 时 序 , 具 体 步 又 如 下 : 

[0069] (1) 将 电子 围栏 功能 按 实时 的 强 弱 拆 分 为 两 个 模块 ,分 别 为 逻辑 计算 ( 强 实 时 ) 和 
航路 规划 ( 弱 实 时 ) 模块 。 

[0070] ”(2) 逻辑 计算 模块 耗 时 在 微 秒 级 ,其 计算 结果 需要 每 个 周期 进行 刷新 ,具有 强 实 时 
任务 的 特征 , 故 将 其 安排 在 实时 任务 组 中 ;有 还 辑 计算 模块 根据 飞机 当前 位 置 和 地 面 站 指令 
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决定 是 否 开始 航路 规划 ,以 及 将 航路 规划 的 计算 结果 实时 传输 给 飞行 导航 模块 。 

[0071] (3) 航路 规划 模块 耗 时 在 秒 级 ,不 要 求 每 个 周期 刷新 计算 结果 ,具有 弱 实时 任务 的 
特征 , 故 将 其 安排 在 后 台 任 务 组 中 。 航 路 规划 模块 通过 复杂 的 算术 运算 进行 航路 规划 ,只 需 
要 在 规定 的 时 间 (一 个 大 于 大 帧 周期 T 的 时 间 ) 内 给 出 计算 结果 即 可 。 
[0072] (5) 设计 逻辑 计算 模块 和 航路 规划 模块 的 时 序 配合 关系 ,如 图 8 所 示 。 软 件 首先 进 
入 实时 任务 ,进行 电子 围栏 功能 的 逻辑 计算 ;在 一 个 大 帧 周期 内 ,实时 任务 运行 完成 之 后 必 
定 有 剩余 时 间 ,在 剩余 时 间 内 软件 进入 后 台 任务 ,开始 进行 电子 围栏 功能 的 航路 规划 ;由 于 
航路 规划 耗 时 大 于 中 断 周 期 ,因此 在 下 一 次 中 断 来 临时 ,将 航路 规划 任务 的 运行 打 断 ,软件 
保存 中 断 现 场 , 进 入 到 实时 任务 中 进行 逻辑 计算 。 完 成 逻辑 计算 后 ,软件 再 一 次 返回 后 台 任 
务 进 行 航 路 规划 ,将 上 一 次 被 中 断 的 现场 恢复 ,并 从 被 中 断 处 继续 运行 ;经 过 若干 个 中 断 周 
期 ,航路 规划 完成 后 ,通知 实时 任务 ,并 传送 最 终 计算 结果 (规划 的 航路 链 ) 。 

[0073] (4) 设计 模块 间接 口 ,如 图 9 所 示 ,其 中 电子 围栏 坐标 数据 ` 机 场 坐标 .飞机 坐标 是 
逻辑 计算 模块 传 给 航路 规划 模块 的 输入 ,规划 的 航路 链 和 航路 规划 完成 标志 是 航路 规划 模 
块 计算 的 结果 ,这 些 变量 均 满 足 在 两 个 模块 中 状态 互 斥 的 要 求 , 即 在 如 果 一 个 变量 在 强 实 
时 模块 中 为 可 写 , 则 其 在 弱 实 时 模块 中 为 只 读 , 反 之 亦 然 。 

[0074] (6) 设计 通道 间 同 步 机 制 ,如 图 10 所 示 。 由 于 各 个 通道 后 台 任 务 的 执行 时 间 不 确 
定 , 可 能 存在 某 个 通道 的 航路 规划 完成 而 另外 的 通道 还 没有 完成 的 情况 ,如 果 通 道 间 不 进 
行 握手 表决 ,可 能 会 导致 实时 任务 错 拍 ,进而 导致 整个 软件 时 序 混乱 ,引发 严重 的 软件 问 
题 . 因 此 ,需要 设计 通道 间 的 同步 机 制 ,保证 各 通道 软件 行为 一 致 。 采 用 的 方法 是 ,各 通道 航 
路 规划 完成 后 ,生成 航路 规划 完成 标志 ,并 进行 通道 间 交 叉 传 输 , 判断 是 否 所 有 通道 都 规划 
完成 ,如 果 是 则 将 所 有 通道 规划 完成 标志 和 航路 规划 结果 传 给 实时 任务 ,否则 不 传送 航路 
规划 结果 。 

[0075] (7) 设计 弱 实 时 任务 超时 保护 机 制 . 弱 实时 任务 和 非 实 时 任务 不 同 的 是 , 非 实时 任 
务 没 有 时 效 要 求 ,而 弱 实 时 任务 有 一 定 的 时 效 要 求 。 航 路 规划 计算 的 航路 链 需要 传 给 实时 
任务 对 飞机 进行 导航 ,要 求 在 一 定 的 时 间 内 完成 计算 ,否则 置 航路 规划 超时 标志 ,认为 该 功 
能 出 现 了 问题 ,关闭 该 功能 ,避免 故障 蔓延 影响 飞行 安全 。 

[0076] ”以 上 实施 例 仅 用 以 说 明 本 申请 的 技术 方案 ,而 非 对 其 限制 ;尽管 参照 前 述 实 施 例 
对 本 申请 进行 了 详细 说 明 ,本 领域 的 普通 技术 人 员 应 当 理 解 :其 依然 可 以 对 前 述 各 实施 例 
所 记载 的 技术 方案 进行 修改 ,或 者 对 其 中 部 分 技术 特征 进行 同等 蔡 换 ; 而 这 些 修 改 或 蔡 换 ， 
并 不 使 相应 技术 方案 的 本 质 脱 离 本 申请 各 实施 例 技 术 方案 的 精神 和 范围 , 均 应 包含 在 本 申 
请 的 保护 范围 以 内 。 
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